NIS2 in der Branche Gesundheitswesen

Im Gesundheitswesen trifft NIS2 auf ein bereits dicht reguliertes Feld — und auf die Besonderheit, dass jeder Sicherheitsvorfall zugleich ein Datenschutzvorfall mit besonders geschützten Daten ist.

Sind Sie betroffen?

Anlage 1 nennt Gesundheitsdienstleister (Krankenhäuser, Kliniken, medizinische Versorgungszentren), EU-Referenzlaboratorien, Forschung und Herstellung von Arzneimitteln sowie die Herstellung kritischer Medizinprodukte. Ab 250 Mitarbeitern oder 50 Mio. Euro Umsatz sind das besonders wichtige Einrichtungen.

Ein Haus mit 400 Betten liegt bei der Beschäftigtenzahl regelmäßig darüber. Kleinere Kliniken und größere MVZ ab 50 Beschäftigten sind wichtige Einrichtungen. Einzelpraxen fallen in der Regel nicht darunter.

Die Abgrenzung: KRITIS, § 75c SGB V und NIS2

Kliniken oberhalb der Schwellenwerte der BSI-KritisV unterliegen bereits KRITIS-Pflichten. Nach § 75c SGB V müssen Krankenhäuser zudem Stand-der-Technik-Maßnahmen umsetzen; der branchenspezifische Sicherheitsstandard B3S Medizinische Versorgung ist dafür etabliert. NIS2 kommt hinzu und erweitert vor allem die Meldewege und die Geschäftsleiterpflichten.

Wer B3S umgesetzt hat, ist inhaltlich weit — muss aber Registrierung, Meldeprozess nach § 32 BSIG und die Schulungspflicht der Geschäftsleitung gesondert nachweisen.

Die Lücken, die hier typisch sind

Medizingeräte als nicht patchbare Systeme. CT, MRT und Laborautomaten laufen auf zertifizierten Konfigurationen, die nicht eigenmächtig aktualisiert werden dürfen — ein Patch kann die Zulassung berühren. Erforderlich sind Segmentierung, strikte Zugriffskontrolle und die dokumentierte Begründung dieser kompensierenden Maßnahmen.

KIS als kritischer Einzelpunkt. Fällt das Krankenhausinformationssystem aus, geht der Betrieb auf Papier über. Ob das über mehr als wenige Stunden funktioniert, muss geprobt sein — nicht nur beschrieben.

Doppelte Meldepflicht unter Zeitdruck. Bei Patientendaten greifen NIS2 (24 Stunden Frühwarnung, 72 Stunden Meldung ans BSI) und Art. 33 DSGVO (72 Stunden an die Datenschutzaufsicht) parallel, bei Gesundheitsdaten nach Art. 9 DSGVO mit besonderem Gewicht. Ein gemeinsamer Meldeprozess, der beide Wege gleichzeitig auslöst, verhindert, dass unter Druck eine Meldung untergeht.

Zugänge in Schichtbetrieb und hoher Fluktuation. Gemeinsam genutzte Stationsaccounts sind praktisch, aber im Bereich Personalsicherheit und Zugriffskontrolle ein regelmäßiger Befund.

Ein realistisches Szenario

Ein Klinikverbund mit 900 Beschäftigten wird Opfer eines Ransomware-Angriffs. Das KIS ist nicht verfügbar, die Notaufnahme geht in den Papierbetrieb, planbare Eingriffe werden verschoben.

Drei Fristen laufen parallel: Frühwarnung ans BSI binnen 24 Stunden, Meldung binnen 72 Stunden, DSGVO-Meldung binnen 72 Stunden — und faktisch eine vierte, die Kommunikation gegenüber Patienten und Öffentlichkeit. Wer diese Stränge nicht vorab in einem Plan zusammengeführt hat, verliert Zeit an Koordination statt an Bewältigung.

Womit anfangen

Beginnen Sie mit dem Abgleich gegen das, was Sie bereits haben — B3S, KRITIS-Nachweise, § 75c SGB V. Die Gap-Analyse zeigt dann das Delta zu § 30 BSIG. Priorität haben ein gemeinsamer Meldeprozess für BSI und Datenschutzaufsicht sowie der Nachweis der Geschäftsleiterschulung.

Die zehn Maßnahmenbereiche in der Klinik

Risikoanalyse. Medizingeräte, KIS, PACS, Laborsysteme und die Anbindung niedergelassener Einweiser gehören in den Betrachtungsumfang. Wer B3S umgesetzt hat, kann die vorhandene Analyse erweitern.

Bewältigung von Sicherheitsvorfällen. Der Plan muss die Meldewege an BSI und Datenschutzaufsicht parallel auslösen und regeln, wann in den Papierbetrieb gewechselt wird — das ist eine medizinische Organisationsentscheidung, keine IT-Entscheidung.

Aufrechterhaltung des Betriebs. Der Papierbetrieb muss über mehr als eine Schicht funktionieren: vorbereitete Formulare, definierte Abläufe für Aufnahme, Medikation und Befundübermittlung, regelmäßig geübt.

Sicherheit der Lieferkette. Medizintechnikhersteller mit Fernwartungszugängen, KIS-Anbieter und Labordienstleister sind die relevanten Lieferanten. Wartungsverträge gehören auf Sicherheitsanforderungen geprüft.

Beschaffung und Wartung. Bei Medizingeräten ist die Patchfähigkeit ein Beschaffungskriterium. Klären Sie vor dem Kauf, wie der Hersteller Sicherheitsupdates innerhalb der Zulassung bereitstellt.

Wirksamkeitsprüfung. Nutzen Sie den B3S-Prüfzyklus und ergänzen Sie das NIS2-Delta, statt einen zweiten Turnus aufzubauen.

Cyberhygiene und Schulungen. Pflege, Ärzteschaft und Verwaltung brauchen unterschiedliche Formate. Kurze, wiederkehrende Einheiten funktionieren im Schichtbetrieb besser als Jahresveranstaltungen.

Kryptografie. Patientendaten sind besondere Kategorien nach Art. 9 DSGVO. Verschlüsselung im Transport und auf mobilen Geräten hat Priorität.

Personalsicherheit und Zugriffskontrolle. Stationssammelkonten und weit gefasste Berechtigungen sind der Regelbefund. Rollenbasierte Vergabe mit dokumentierter Begründung für Ausnahmen ist der realistische Weg.

Multi-Faktor-Authentifizierung. Zuerst für Fernzugänge, administrative Konten und den externen Zugriff auf Patientendaten.

Die ersten 90 Tage

Tage 1 bis 14. Betroffenheit und Einstufung dokumentieren, BSI-Registrierung prüfen, Kontaktstelle mit 24/7-Erreichbarkeit einrichten — im Klinikbetrieb ohnehin vorhanden, aber selten formal als NIS2-Kontaktstelle benannt.

Tage 15 bis 45. Abgleich gegen B3S, KRITIS-Nachweise und § 75c SGB V. Gemeinsamen Meldeprozess für BSI und Datenschutzaufsicht aufsetzen und beide Fristen im selben Formular abbilden.

Tage 46 bis 90. Papierbetrieb über eine volle Schicht üben. Medizingeräte-Segmentierung prüfen und kompensierende Maßnahmen dokumentieren. Schulung der Geschäftsführung durchführen und belegen.

Häufige Fragen aus dem Gesundheitswesen

Wir haben B3S umgesetzt. Was fehlt noch?

Inhaltlich wenig, formal einiges: BSI-Registrierung nach § 33 BSIG, der Meldeprozess mit der 24-Stunden-Frühwarnung und der Nachweis der Geschäftsleiterschulung nach § 38 BSIG. Diese drei Punkte deckt B3S nicht ab.

Ist ein MVZ mit 60 Beschäftigten betroffen?

Ab 50 Beschäftigten oder der Umsatzschwelle ja, als wichtige Einrichtung. Einzelpraxen und kleine Gemeinschaftspraxen fallen in der Regel nicht darunter.

Müssen wir zweimal melden, wenn Patientendaten betroffen sind?

Ja. Die Meldung nach § 32 BSIG an das BSI und die Meldung nach Art. 33 DSGVO an die Datenschutzaufsicht bestehen nebeneinander, mit unterschiedlichen Adressaten und teils unterschiedlichen Fristen.

Aufwand und Nachweise: was realistisch auf Sie zukommt

Personalaufwand. Häuser mit B3S-Umsetzung haben den größten Teil geleistet; der Zusatzaufwand liegt bei 0,2 bis 0,3 Personenstellen über drei bis vier Monate, überwiegend für Registrierung, Meldeprozess und Schulungsnachweise. Ohne B3S ist der Aufwand ein Vielfaches.

Technische Investitionen. Die Segmentierung der Medizintechnik ist der teuerste Posten und braucht Abstimmung mit Medizintechnik und Herstellern. Multi-Faktor-Authentifizierung und die Härtung von Fernzugängen sind günstig und schnell umsetzbar.

Was die Aufsicht typischerweise sehen will. Die Risikoanalyse einschließlich Medizingeräten, den gemeinsamen Meldeprozess für BSI und Datenschutzaufsicht, den Nachweis eines geübten Papierbetriebs, die dokumentierten kompensierenden Maßnahmen für nicht patchbare Geräte, die Wartungsverträge mit Sicherheitsanforderungen und die Schulungsnachweise einschließlich Geschäftsführung.

Der Sonderaufwand: zwei Aufsichten. Bei Vorfällen mit Patientendaten prüfen BSI und Datenschutzaufsicht denselben Sachverhalt aus unterschiedlicher Perspektive. Ein einheitlicher Meldevorgang, der beide Adressaten aus derselben Faktenlage bedient, verhindert widersprüchliche Angaben — die im Nachgang teurer sind als die verspätete Meldung selbst.

Was Sie sich sparen können. Einen zweiten Prüfzyklus neben B3S. Erweitern Sie den vorhandenen Turnus um die NIS2-Delta-Themen.